| 命令 | faillock / faillock --user <名> / --reset |
|---|---|
| 配置 | /etc/security/faillock.conf（deny、unlock_time） |
查看
查看
faillock --user alice
faillock | head -20记录保存在 tally 目录，重启或超时后可能清空，关键事件要尽早导出。
faillock 失败锁定记录
pam_faillock 记录连续失败次数并在达到阈值后锁定账号，faillock 命令可查看与重置；记录能反映针对具体账号的口令测试。
易错点
- 不是所有发行版默认启用该模块，先确认 PAM 配置再判断记录缺失
- 重置锁定会清除计数，取证阶段不要提前执行 --reset
数据来源与参考
- Linux-PAM 文档（pam_faillock 与 faillock）